信息安全管理体系中规定的被分配职责的所有人员，都必须有能力执行所要求的任务。能力可以通过不同的方法达到，包括：

□ 提供能力培训，以满足能力要求；

□ 评价所提供培训的有效性；

□ 确保员工意识到所从事活动的相关性和重要性，以及如何为实现安全目标做出贡献；

□ 必须保留教育、经历和技能的适当记录。